Foi revelada uma vulnerabilidade chamada "HTTP/2 Bomb", que afeta diversas implementações do protocolo HTTP/2 e permite causar uma negação de serviço ao esgotar toda a memória disponível do processo. A existência do problema foi confirmada em servidores HTTP como nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) e Cloudflare Pingora na configuração padrão.
A vulnerabilidade utiliza um método semelhante ao de uma bomba zip, aplicado à funcionalidade de compressão de cabeçalhos no HTTP/2. A ideia é que uma solicitação possa conter milhares de cabeçalhos comprimidos, como "Cookie", sem dados anexados, cada um dos quais na solicitação é representado por um link de um byte no índice HPACK, mas servidor exige alocação de memória completa para todo o cabeçalho. O nível de consumo de memória em diferentes servidores HTTP varia de aproximadamente 70 bytes por cada byte no índice para nginx, IIS e Pingora, até 4000 bytes no Apache httpd e 5700 no Envoy. Em um ataque originado de um computador pessoal com uma conexão de 100Mbps, para esgotar 32 GB de memória são necessários cerca de 10 segundos para atacar servidor com o Envoy 1.37.2, 18 segundos para o Apache httpd 2.4.67 e 45 segundos para o nginx 1.29.7.
Para bloquear a vulnerabilidade, na versão nginx 1.29.8, a diretiva max_headers foi transferida do projeto freenginx, que por padrão permite o processamento de não mais do que 1000 cabeçalhos. No Envoy, a correção
está incluída nas versões 1.35.11 e 1.36.7, nas quais limites mutable_max_request_headers_kb e max_headers_count foram implementados. No Apache httpd, a correção foi proposta na versão do módulo mod_http2 2.0.41, que ainda não foi incluída nas releases do Apache httpd. Para
Microsoft IIS e Cloudflare Pingora, correções ainda não estão disponíveis.
Como uma solução alternativa de proteção, é possível desabilitar o uso do protocolo HTTP/2 e impor um limite no tamanho da memória disponível para os processos de trabalho.
Fonte: opennet.ru
